Azure key 保管库权限

Question

我们在 key 保管库中设置备份管理服务 (262044b1-e2ce-469f-a196-69ab7ada62d3) 的权限时遇到问题。

我们正在使用没有 Windows Azure Directory 和 Microsoft graph 权限的服务主体的自动化帐户中运行以下代码。

Set-AzureRmKeyVaultAccessPolicy -VaultName MAHSEN-KEY-00010-DEV -ResourceGroupName MAHSBC-RGP-DEV-ARM-TEMPLATE-008 -AzureRmContext $context -PermissionsToSecrets backup,get,list -ServicePrincipalName 262044b1-e2ce-469f-a196-69ab7ada62d3 

我们收到错误“没有足够的权限来完成操作”。

当我们运行相同的代码时，自动化帐户拥有 Windows Azure Active Directory 的“读取目录数据”权限，我们能够成功运行命令，如下面的屏幕截图所示。

您能否确认一下，使用 Set-AzureRmKeyVaultAccessPolicy 命令是否需要 Windows Azure Active Directory 权限？

Answer 1

Key Vault 访问策略基于 AAD 对象 ID。当调用 Set-AzureRmKeyVaultAccessPolicy 并指定 ServicePrincipal 或 ObjectId 以外的任何内容时，cmdlet 需要通过直接查询 AAD 将 ServicePrincipal 转换为 AAD 对象 ID。这是在使用更新的策略调用 Key Vault 之前完成的。

为了避免需要 AAD 查询，请提前查找服务主体的对象 ID。然后将对象 ID 传递给“ObjectId”参数。您还应该传递“BypassObjectIdValidation”参数以指示 cmdlet 不应尝试使用 AAD 验证 ObjectID 参数的值，

您可以在以 AAD 中具有查询权限的用户身份登录时运行以下命令来查找服务主体的对象 ID。

Get-AzureRmADServicePrincipal -ServicePrincipalName 262044b1-e2ce-469f-a196-69ab7ada62d3

使用 Set-AzureRmKeyVaultAccessPolicy 命令中返回的“Id:”字段，如下所示:

Set-AzureRmKeyVaultAccessPolicy -VaultName VNAME -ResourceGroupName RGROUP -AzureRmContext $context -PermissionsToSecrets backup,get,list -ObjectID 00000000-0000-0000-0000-000000000000 -BypassObjectIdValidation

其中 00000000-0000-0000-0000-000000000000 应替换为服务主体的实际对象 ID。